Un gruppo di cyberspionaggio allineato con la Cina ha introdotto una potente nuova backdoor di Windows negli attacchi concentrati contro organizzazioni governative in tutta l’America Latina.
Il malware, chiamato SparroWocky, è stato collegato a FamousSparrow, un gruppo di spionaggio operativo almeno dal 2019. Researchers hanno osservato il nuovo strumento negli attacchi risalenti ad agosto 2025, quando ha iniziato a sostituire il vecchio malware SparrowDoor del gruppo.
Vittime recenti sono state identificate in Argentina, Ecuador, Guatemala, Honduras, Panama, Perù, Porto Rico e Venezuela. Circa il 90% dei bersagli di FamousSparrow osservati dai ricercatori dalla metà del 2025 si è localizzato in America Latina.
Le organizzazioni governative sembrano essere un obiettivo principale, anche se storicamente il gruppo ha preso di mira una gamma più ampia di vittime, inclusi organizzazioni internazionali, hotel, aziende di ingegneria, gruppi di categoria e studi legali.
I ricercatori ritengono che l’attenzione crescente di FamousSparrow verso l’America Latina possa essere collegata all’interesse della Cina per gli sviluppi politici ed economici nella regione, soprattutto con l’aumento della pressione statunitense sugli interessi cinesi. Questa valutazione riflette il targeting osservato piuttosto che le informazioni confermate sulle istruzioni date agli attaccanti.
SparroWocky offre ai suoi operatori un ampio controllo su computer Windows compromessi. Gli attaccanti possono eseguire comandi e programmi, raccogliere informazioni sulla macchina infetta e sulla sua rete, sfogliare file e directory, e caricare o scaricare dati. Il malware può anche catturare screenshot, manipolare file e creare connessioni proxy che permettono al traffico di passare attraverso un computer contaminato.
La sua capacità di screenshot è progettata per ridurre trasferimenti di dati inutili. Dopo aver effettuato una prima cattura a schermo intero, SparroWocky può monitorare il display ogni 500 millisecondi e inviare solo le parti dello schermo che sono cambiate.
La backdoor può anche eseguire i file Beacon Object direttamente in memoria. Questo consente ai suoi operatori di utilizzare funzionalità aggiuntive originariamente sviluppate per i framework di test di sicurezza senza necessariamente installare strumenti separati in modo convenzionale.
I ricercatori hanno trovato diverse tecniche volte a rendere il malware più difficile da rilevare per i prodotti di sicurezza e gli analisti. SparroWocky viene fornito tramite DLL side-loading che coinvolge un eseguibile legittimo, una DLL modificata e un payload criptato. Il loader decripta la backdoor e la inserisce direttamente in memoria invece di scrivere il malware finale su disco.
Il malware può rimanere attivo dopo un riavvio creando un servizio Windows o aggiungendosi al Registro. Manipola anche aspetti del comportamento dei processi e dei thread di Windows nel tentativo di rendere l’attività dannosa più legittima agli strumenti di monitoraggio.
I ricercatori hanno identificato almeno 18 indirizzi di comando e controllo associati all’operazione. Le comunicazioni sono state osservate principalmente sulla porta 443, anche se sono state utilizzate anche la porta 8080 e l’infrastruttura proxy.
Le prime infezioni da SparroWocky sono state installate tramite SparrowDoor, aiutando i ricercatori a collegare il nuovo malware a FamousSparrow. Nonostante questa relazione, SparroWocky è considerato una famiglia di malware separata piuttosto che semplicemente una versione aggiornata della vecchia backdoor.
Il passaggio a SparroWocky segna un cambiamento significativo nell’arsenale di FamousSparrow, mentre il suo recente targeting mostra una forte concentrazione sulle organizzazioni latinoamericane. I ricercatori hanno pubblicato indicatori tecnici associati alla campagna per aiutare le organizzazioni a identificare potenziali infezioni.